精读笔记

Problem Setting

论文标题：Hierarchical Anti-Aesthetics: Protecting Facial Privacy against Customized Diffusion Models（arXiv preprint / 2026）。这篇论文实际处理的是个性化 T2I 扩散模型中的人脸隐私防护：用户只能在公开图像上加入小幅扰动，却希望阻断攻击者用少量图像微调模型后生成可识别人像。关键矛盾在于，扰动必须对人不可见，但对后续训练过程要有足够强的 poisoning 效果；而攻击者的模型版本、prompt、fine-tuning recipe 往往不可控。已有方法卡在“破坏训练”与“消除身份”之间的错位：最大化重建损失或扰乱内部 attention 能降低生成质量，但未必直接压制面部身份证据，导致生成图变差但人仍可能可认。

Motivation

作者不满足于继续在扩散模型内部找 attack surface，而是指出 prior 缺的是一个更贴近最终滥用目标的优化信号：恶意生成是否有用，最终取决于人类是否认为它真实、好看、细节可信、身份可识别。已有 anti-customization 的目标多是模型训练损失或中间特征失配，这些信号与“可用伪造人像”的关系是间接的。作者的核心观察是：个性化扩散模型成功复现身份，通常伴随高质量局部脸部细节和全局真实感；如果反向优化人类审美偏好，就可能同时破坏质量与身份。关键缺口不是没有局部模块，而是没有把 human preference 作为防护目标来显式建模。

Core Idea

HAA 真正改变的是防护目标的建模方式：从“让微调过程学不好”转为“让微调后生成结果偏离人类偏好中的真实感与面部细节”。它把冻结 reward model 当作外部评价器，将 aesthetic preference 的梯度反向注入到输入扰动优化中。这样 perturbation 不只是攻击某个 U-Net 的重建误差，而是在训练数据层面植入一种会诱导 customized model 生成低偏好、低身份质量样本的信号。

本质区别在于 inductive bias。prior 的 bias 来自扩散模型内部机制，例如 attention、timestep、frequency、feature；HAA 的 bias 来自人类偏好空间，且拆成全图与面部局部两层。这个 bias 可能更 scalable，因为不同扩散架构虽然内部表征不同，但高质量人脸生成通常共享一些外部可评价属性：清晰度、脸部结构、皮肤与五官细节、整体真实感。也因此它有一定跨模型迁移潜力，但这种迁移不是无条件的，SD-v3 / FLUX 上变弱已经说明它仍受 surrogate-目标模型对齐程度限制。

Method

方法的关键不是算法外壳，而是三个机制。第一，保留 reconstruction-loss maximization，是为了维持与已有 anti-customization 可比的基本 poisoning 能力；它解决“让微调不稳定 / 不忠实”的问题，但不是本文最有信息量的部分。第二，全局反审美 reward 作用在 one-step decoded image 上，解决的是身份信息不只存在于脸部的问题；它把发型、轮廓、姿态、光照、场景共现等全图线索纳入优化压力。第三，局部反审美 reward 通过 face detector 聚焦人脸区域，解决的是 prior 全局降质后仍可能保留关键五官与身份细节的问题。

HAA 的机制层变化是：扰动优化不再只看扩散训练误差，而同时看“生成中间样本在偏好模型下有多反审美”。全局与局部 reward 被归一化后形成可微目标，通过 PGD 式更新扰动；surrogate diffusion model 同时被受保护图像微调，形成交替式攻防。这里的 face detector、BLIP reward、softplus、batch normalization 等更像工程实现，核心必要性仍是 preference-gradient + global/local identity evidence decomposition。

Key Insight / Why It Works

最关键 insight 是：在当前个性化扩散模型中，身份重建能力与 preference-aligned visual quality 高度耦合。一个能稳定生成目标身份的 DreamBooth 模型，往往也需要学到清晰脸部结构、局部纹理、真实五官比例和全局自然图像统计；HAA 正是攻击这条耦合链，而不是只攻击训练损失。换句话说，它不是直接做 identity classifier avoidance，而是破坏“身份可用性”的生成条件。

最可能的核心贡献是局部 facial aesthetic reward 与全局 aesthetic reward 的组合。LAA 直接打在人脸身份密集区，因而对 ArcFace similarity / FDSR 的贡献更像主因；GAA 则提供两类补偿：一是覆盖非脸部身份线索，二是在 face detection 失败或局部框不准时提供 fallback。GAA 不是简单增加扰动强度，因为作者用 masked-face CLIP similarity 和 detector-failure stress test 试图证明其独立价值；不过这些分析仍偏经验，因果归因没有完全闭合。

这不是 retrieval、memory reuse 或 planning，也不是 test-time compute 方法；它更接近 representation alignment / preference alignment 的反向使用。它把 reward model 从“提升生成质量”的后训练工具，转成“压低可滥用生成质量”的输入防护工具。scaling 成分也存在：两个 BLIP-style reward model、额外人脸偏好数据、更多优化时间带来部分增益，计算成本明显高于 ASPL。文中未充分说明 reward model 数据覆盖对最终结果的贡献比例，因此不能排除部分优势来自更强外部监督和更贴近评价指标的 reward。

Relation To Prior Work

最接近的谱系是 image cloaking / anti-customization adversarial perturbation，包括 AdvDM、Mist、Anti-DreamBooth / ASPL、CAAT、SimAC、GoodAC。它们共同点是：在用户图像上加受限扰动，污染后续 personalized diffusion fine-tuning。HAA 没有改变这个大框架，也没有提出新的外层优化范式。

真正不同点是目标信号。CAAT 攻击 cross-attention，SimAC 利用 timestep / frequency / hierarchical features，GoodAC 做 global-local feature/attribute disruption；这些仍主要是模型内部或识别特征空间的失配。HAA 引入的是外部 human-preference reward，并把它反向用于全图与局部脸部。看似“global-local”并不新，GoodAC 已经有类似组织；实质新增信息是 aesthetic reward 作为可微监督，而非 global-local 结构本身。换句话说，结构是重组，reward-guided anti-aesthetic supervision 才是创新点。

Dataset / Evaluation

评估覆盖面相对充分：两个人脸数据集、多 prompt、不同 Stable Diffusion 版本、SVDiff / Textual Inversion / Custom Diffusion、多扰动预算、不同数量 protected images、图像变换和 DiffPure、防 detector failure、SD-v3 / FLUX 黑盒迁移。它确实比很多 cloaking 论文更重视 stress test。

但 evaluation 对核心 claim 的支持仍有边界。主指标 FDSR、ArcFace similarity、ImageReward、FID 能衡量“生成图是否仍像目标且质量高”，基本对齐问题目标；LPIPS-controlled generic degradation 和 random reward control 是最关键的补强，减少了“只是图像降质”的疑虑。不过 ImageReward 既是评价指标又与全局 reward 数据源高度相关，可能存在评价同源性；文中虽有 ArcFace / FID / FDSR 支撑，但 aesthetic 相关结论仍可能被 reward-model bias 放大。真实世界层面缺少平台级部署、社交媒体压缩链路、自适应攻击者和多源未保护图像混合测试。

Limitation

第一，HAA 成立依赖一个隐含前提：目标 customized model 的身份学习依赖 preference-aligned 高质量视觉细节。如果攻击者显式加入 identity-preserving loss、使用更强人脸先验、或接受低审美但可识别的输出，反审美 proxy 可能失效。第二，泛化并非真正架构无关；SD-v3 / FLUX 上效果明显下降，说明 perturbation 仍依赖 surrogate 与目标之间的梯度 / 表征对齐。第三，reward model 是额外监督源，且局部 reward 数据由 inpainting degradation 构造，可能学到的是某类退化痕迹而非通用“脸部审美”。增益来源不清：到底来自审美语义、face-local supervision、额外数据覆盖，还是更长优化时间，仍未完全拆开。

第四，对防御处理不够强。DiffPure 后 FDSR 和 Face Similarity 明显回升，说明扰动容易被净化削弱；JPEG / blur 也降低保护。第五，多数实验假设攻击者主要使用被保护图像微调，若攻击者收集混合干净图像、视频帧、社交媒体不同分辨率版本，multi-image poisoning 的上限会下降。第六，face detector fallback 是工程容错，不是机制保证；遮挡、大姿态、非正脸、多人图像下局部 reward 的稳定性仍不清楚。

Takeaway

• 1. 这篇真正推动的是把 anti-customization 从模型内部攻击推进到 preference-level attack：防护目标应直接对齐“恶意生成是否可用”，而不只是训练损失是否变大。
• 2. 全局-局部分解值得迁移，但重点不是层级结构本身，而是把不同粒度的外部评价器接入扰动优化：全图负责语义与自然图像统计，局部负责任务关键证据区。
• 3. 未来更有价值的方向不是继续堆 reward，而是做自适应攻击下的鲁棒 preference poisoning：面对净化、重采样、多源数据和 identity-preserving fine-tuning，仍能稳定破坏身份绑定。
• 4. HAA 暗示了一个更一般的安全范式：把 alignment / reward model 从提升生成质量的工具反向用于降低滥用效用；这可能迁移到版权图像、风格保护、语音克隆和 3D avatar personalization。

一句话总结

HAA 是 anti-customization 从“攻击扩散模型内部训练机制”向“反向利用人类偏好 reward 破坏可用身份生成”演化的一步，实质贡献在于 reward-guided global/local anti-aesthetic supervision，而不是新的对抗优化框架。